CVE-2026-124040
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
CivetWeb do wersji 1.16, zbudowany z USE_HTTP2 i włączonym enable_http2, zawiera podatność use-after-free w handle_http2(), która zachowuje wskaźniki do zwolnionych pseudo-nagłówków :method i :path. Nieuwierzytelniony zdalny atakujący może wysłać późniejszą ramkę HEADERS bez tych pseudo-nagłówków, aby wpłynąć na metodę lub ścieżkę żądania widzianą przez reguły dostępu albo spowodować awarię serwera.
Ocena ryzyka
Atakujący może obejść reguły kontroli dostępu poprzez manipulację metodą lub ścieżką żądania albo wywołać awarię serwera. Podatność dotyczy wyłącznie kompilacji z obsługą HTTP/2.
Rekomendacja
Zaktualizuj CivetWeb do wersji nowszej niż 1.16 lub wyłącz obsługę HTTP/2 (enable_http2) do czasu wydania poprawki. Monitoruj logi pod kątem nietypowych ramek HEADERS.
Inne podatności w CivetWeb
Zobacz wszystkie- CVE-2026-29035Średnie
CivetWeb (commit 4a4f0c95) zawiera podatność na przepełnienie bufora sterty i stosu w funkcji read_websocket(), która pozwala nieuwierzytelnionym zdalnym atakującym na uszkodzenie pamięci poprzez wysyłanie skompresowanych ramek WebSocket, gdy zdefiniowane są zarówno USE_ZLIB, jak i MG_EXPERIMENTAL_INTERFACES. Atakujący mogą wynegocjować permessage-deflate podczas uzgadniania WebSocket i wysłać spreparowaną ramkę z ustawionym bitem RSV1, powodując zapis 4-bajtowego znacznika synchronizacji zlib poza przydzielony bufor, co prowadzi do uszkodzenia metadanych sterty, odmowy usługi lub potencjalnego wykonania kodu.
- CVE-2025-9648Wysokie
Podatność w funkcji mg_handle_form_request biblioteki CivetWeb pozwala zdalnym atakującym wywołać odmowę usługi (DoS). Wysłanie specjalnie spreparowanego żądania HTTP POST zawierającego bajt null w ładunku powoduje wejście serwera w nieskończoną pętlę podczas parsowania danych formularza. Wiele złośliwych żądań prowadzi do całkowitego wyczerpania CPU i braku responsywności usługi.
- CVE-2025-55763Wysokie
Przepełnienie bufora w parserze URI w CivetWeb 1.14 do 1.16 (najnowsza) pozwala zdalnemu atakującemu na zdalne wykonanie kodu poprzez spreparowane żądanie HTTP. Podatność jest wyzwalana podczas przetwarzania żądania i może pozwolić na uszkodzenie pamięci sterty, potencjalnie prowadząc do odmowy usługi lub wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
CivetWeb through 1.16, when built with USE_HTTP2 and enable_http2 on, contains a use-after-free vulnerability in handle_http2() that retains freed :method and :path pointers. Unauthenticated remote attackers can send a later HEADERS frame omitting these pseudo-headers to influence request method or path seen by access rules, or crash the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS